Fortinet, Palo Alto, Citrix, Ivanti, SonicWall. Si vous suivez l'actualité cybersécurité, ces noms sont devenus synonymes d'une tendance qui s'est imposée comme une évidence en 2026 : vos équipements périmètriques sont le point d'entrée préféré des APT étatiques et des opérateurs de ransomware professionnels. Ce n'est pas un hasard, ce n'est pas une mode passagère. C'est une tendance structurelle, et comprendre pourquoi est la première étape pour s'en défendre efficacement.

Le périmètre réseau comme terrain de chasse stratégique

Pendant des années, les emails de phishing ont dominé les statistiques des vecteurs d'accès initial. Envoyer un mail avec une pièce jointe malveillante, attendre qu'un utilisateur clique, récupérer des credentials ou installer un implant : cette méthode a fonctionné pendant deux décennies. Elle continue de fonctionner. Mais ses limites croissantes poussent les attaquants sophistiqués vers des alternatives plus directes.

La généralisation du MFA rend les credentials volés moins directement utilisables. Les solutions EDR modernes interceptent une proportion croissante des charges malveillantes sur les postes de travail. La sensibilisation des utilisateurs — bien qu'encore insuffisante — a progressé, surtout dans les grandes organisations. Résultat : les acteurs offensifs professionnels ont rationalisé leur approche et se sont tournés vers un vecteur qui cumule tous les avantages : les équipements périmètriques.

Un VPN d'entreprise correctement exploité offre un accès réseau interne complet, avec une authentification qui apparaît légitime dans tous les logs. Une appliance firewall compromise devient un pivot silencieux depuis lequel l'attaquant peut observer tout le trafic et se déplacer latéralement sans les alertes comportementales associées aux mouvements depuis un poste de travail. Et surtout : ces équipements sont exposés sur Internet par définition, 24 heures sur 24, 7 jours sur 7, sans qu'un utilisateur humain soit nécessaire dans la chaîne d'exploitation.

Les données confirment ce shift. Selon le rapport M-Trends 2026 de Mandiant, les vulnérabilités dans les équipements réseau et de sécurité périmètriques ont représenté le premier vecteur d'accès initial dans les incidents investigués en 2025, dépassant pour la première fois le phishing. Verizon DBIR 2026 indique que l'exploitation de vulnérabilités dans des équipements réseau représente désormais 23 % de tous les vecteurs d'accès initial documentés — contre moins de 10 % en 2022. En France, l'ANSSI confirme cette tendance dans ses rapports annuels, avec une surreprésentation dans les secteurs collectivités, santé et opérateurs d'importance vitale.

Pourquoi ces équipements sont structurellement vulnérables

La vulnérabilité des appliances réseau n'est pas une question de mauvaise volonté des constructeurs. Elle tient à des facteurs structurels qui rendent ces équipements intrinsèquement difficiles à sécuriser durablement.

La complexité des systèmes embarqués. Une appliance firewall ou VPN moderne est un système d'exploitation complet — souvent dérivé de Linux ou BSD — avec un kernel personnalisé, des piles réseau modifiées, des interfaces web développées en interne, et des dizaines de services exposés. FortiOS, PAN-OS, ou les logiciels Cisco ASA sont des systèmes de plusieurs millions de lignes de code développés sur des décennies par des équipes multiples. Cette complexité génère mécaniquement des vulnérabilités, et la surface d'attaque est vaste.

L'exposition directe sur Internet. Contrairement à un serveur applicatif interne protégé par plusieurs couches de défense en profondeur, un équipement périmétrique est exposé sur Internet par définition. Son interface de management HTTPS, son portail VPN, ses services d'authentification : tout cela doit être accessible depuis l'extérieur. Une vulnérabilité dans l'un de ces composants est directement exploitable depuis Internet sans aucun prérequis d'accès préalable.

Le cycle de patch management défaillant. Une appliance physique en production est perçue par les équipes IT comme un équipement "qui tourne tout seul" qu'on ne touche pas tant qu'il n'y a pas de problème. La résistance au patch est forte : une mise à jour ratée peut couper l'accès Internet de toute l'organisation ou les accès VPN de centaines de télétravailleurs. Les équipes IT sont pénalisées pour les interruptions de service, pas pour les failles non patchées — tant qu'elles ne sont pas exploitées. Cette asymétrie crée une pression systémique contre le patch management proactif.

Les chiffres illustrent l'ampleur du problème. Une analyse Shodan de septembre 2026 révèle qu'environ 35 % des 400 000 instances FortiGate accessibles sur Internet tournent sur des versions de FortiOS présentant au moins une CVE critique non corrigée. Pour GlobalProtect, 172 000 instances restaient exposées à CVE-2026-0257 cinq mois après le patch. Pour Ivanti Connect Secure, les enquêtes post-incident montrent régulièrement des organisations opérant des versions non patchées depuis 12 à 18 mois.

L'opacité des systèmes propriétaires. Contrairement à un serveur Linux standard où l'administrateur peut examiner logs, processus et connexions avec des outils standards, une appliance propriétaire est une boîte noire. L'administrateur voit ce que le constructeur veut bien lui montrer. Cette opacité rend la détection d'une compromission particulièrement difficile : des APT comme Volt Typhoon et UNC3886 ont démontré des capacités de persistance dans FortiOS et PAN-OS qui survivaient aux mises à jour et même aux réinitialisations d'usine incomplètes.

Le panorama des acteurs qui ciblent le périmètre

Tous les grands groupes APT actifs en 2026 ont développé une capacité de ciblage des équipements périmètriques. Plusieurs acteurs méritent une attention particulière pour comprendre l'étendue du problème.

Volt Typhoon (nexus Chine) s'est spécialisé dans la compromission silencieuse d'équipements réseau — routeurs SOHO, appliances Fortinet, Cisco ASA — pour créer des réseaux de proxy masquant l'origine des attaques et maintenir un accès persistant dans des infrastructures critiques américaines. Volt Typhoon ne déploie pas de ransomware : son objectif est le pre-positionnement stratégique en vue d'une perturbation d'infrastructures critiques en cas de conflit.

Flax Typhoon (également Chine) a fait l'actualité début octobre 2026 avec un advisory CISA listant cinq CVE exploitées dans des équipements réseau Ivanti, Zyxel et Cisco. Objectif similaire : créer des botnets d'équipements compromis pour des opérations offensives futures.

Storm-2603 (Longlegs / Warlock), documenté par Symantec en octobre 2026, représente une évolution inquiétante : un acteur APT chinois qui combine espionnage et ransomware contre des infrastructures critiques (eau, télécoms, gouvernements). L'utilisation du ransomware par un APT étatique peut masquer les objectifs réels d'espionnage dans le bruit d'un incident ransomware classique — une stratégie hybride de plus en plus documentée.

Qilin ransomware a industrialisé l'exploitation des failles VPN comme vecteur d'accès initial pour ses affiliés. CVE-2026-0257 sur GlobalProtect, failles Ivanti antérieures, CVE-2024-21762 sur FortiOS : chaque nouvelle vulnérabilité VPN critique est intégrée dans les playbooks des affiliés Qilin dans les semaines suivant sa publication, parfois avant même la disponibilité du patch.

Ce qui frappe dans ce panorama : il ne s'agit pas de cibles opportunistes. Ces acteurs ont des programmes de R&D dédiés à la découverte et à l'exploitation de vulnérabilités dans les équipements périmètriques. Certains travaillent sur des 0-days qu'ils gardent pendant des mois ou des années avant de les exploiter dans des opérations ciblées. Le marché des 0-days sur les appliances réseau est estimé à plusieurs millions de dollars par vulnérabilité selon les courtiers de vulnérabilités.

Pourquoi les organisations peinent à se défendre

Face à une menace aussi documentée, pourquoi les organisations continuent-elles à opérer des équipements périmètriques non patchés ? La réponse est complexe et mérite une analyse honnête.

La pression opérationnelle.> Un firewall en production traite des millions de connexions par jour. Une mise à jour mal planifiée peut provoquer une interruption coûtant plus que le risque théorique d'une CVE. Jusqu'à ce que la CVE soit exploitée. Cette asymétrie crée une procrastination systémique.

La fragmentation des responsabilités. Dans beaucoup d'organisations, les équipes réseau gèrent les firewalls, les équipes sécurité gèrent les vulnérabilités, et personne n'est clairement responsable de la convergence. Les équipes réseau peuvent ne pas suivre les bulletins sécurité des constructeurs. Les équipes sécurité peuvent ne pas avoir accès aux consoles des appliances pour vérifier les versions. Cette fragmentation est un terrain fertile pour les oublis critiques.

Le manque d'inventaire précis. Beaucoup d'organisations n'ont pas d'inventaire à jour de leurs équipements réseau, de leurs versions logicielles exactes, et de leur exposition Internet. Savoir qu'on a des firewalls FortiGate est une chose. Savoir lesquels tournent sur quelle version, lesquels sont exposés sur Internet, lesquels sont dans le périmètre d'une CVE critique publiée ce matin en est une autre.

La confiance aveugle dans le constructeur. "On a un contrat de support, ils nous préviennent si c'est critique." Cette logique est fausse : les constructeurs publient leurs advisories publiquement, ils n'appellent pas chaque client. Et l'exploitation commence souvent le jour même de la publication, avant même que les équipes IT aient lu la notification par email.

Les défenses qui fonctionnent vraiment

Mon retour de terrain sur des dizaines d'audits de sécurité conduit à six recommandations structurelles pour réduire significativement ce risque.

1. Un inventaire exhaustif et automatisé des équipements exposés. Vous ne pouvez pas protéger ce que vous ne connaissez pas. Maintenir un inventaire précis et automatiquement mis à jour de tous les équipements réseau avec leur version logicielle exacte et leur exposition Internet est la première condition. Des outils comme Lansweeper, Qualys CSAM ou les offres EASM (External Attack Surface Management) permettent d'automatiser cet inventaire. Une CVE critique doit pouvoir être triagée en quelques minutes, pas en quelques jours.

2. Un processus de patch management prioritaire pour les équipements exposés. Toute CVE de CVSS supérieur ou égal à 8.0 affectant un équipement exposé sur Internet doit déclencher une fenêtre de maintenance dans les 72 heures, pas à la prochaine plage trimestrielle. Cela implique des environnements de test pour les appliances critiques et des procédures de rollback documentées et testées régulièrement.

3. La segmentation et le moindre privilège pour les accès VPN. Un accès VPN ne doit pas donner accès à "tout le réseau interne". La segmentation post-VPN, combinée au MFA obligatoire et à un contrôle d'accès basé sur le rôle, limite considérablement l'impact d'une compromission. CVE-2026-0257 est dévastateur précisément parce que les organisations concernées avaient des politiques VPN trop permissives.

4. La surveillance comportementale post-authentification. Alimenter les logs des équipements périmètriques dans un SIEM et corréler avec les comportements réseau observés permet de détecter des compromissions même lorsque l'authentification semble légitime. Rechercher les sessions VPN suivies de pics de trafic interne anormal, d'énumérations DNS massives ou d'authentifications Kerberos inhabituelles est le seul moyen de détecter les intrusions via cookies forgés après le fait.

5. Un programme d'évaluation régulière de la surface d'attaque externe. Des scans réguliers — au moins mensuels, idéalement continus — de votre exposition externe permettent de détecter des équipements non inventoriés, des ports inattendus et des versions logicielles vulnérables. Les offres EASM de Shodan Monitoring, Censys, ou les grands éditeurs de sécurité automatisent cette surveillance.

6. Des contrôles d'intégrité sur les firmwares. Vérifier périodiquement les hashs des binaires système des appliances critiques, surveiller les connexions sortantes inhabituelles depuis les firewalls (une appliance firewall n'a normalement pas à initier des connexions vers des IPs inconnues), et pour les infrastructures les plus critiques, envisager des inspections forensiques périodiques.

Mon avis d'expert

La tendance est claire et elle va s'accentuer. Les attaquants sophistiqués ont compris que les équipements périmètriques sont le maillon faible : exposés sur Internet, rarement patchés à temps, opaques à l'analyse forensique, offrant un accès réseau interne complet une fois compromis. Le modèle de confiance "mon firewall me protège donc je peux lui faire confiance" est fondamentalement cassé. Il faut traiter votre périmètre réseau avec le même niveau de méfiance qu'un serveur applicatif exposé — parce que c'est exactement ce que c'est. Les organisations qui n'ont pas encore intégré cette réalité dans leur politique de sécurité vont continuer à alimenter les statistiques d'incidents.

Conclusion

2026 restera l'année où les équipements périmètriques ont définitivement pris le titre de vecteur d'accès initial numéro un. CVE-2026-104286 sur FortiMail, CVE-2026-0257 sur GlobalProtect, ToolShell sur SharePoint : trois exemples récents d'une série qui continuera. La question n'est pas de savoir si un de vos équipements périmètriques sera ciblé — c'est de savoir si vous le saurez à temps. Et ça, ça dépend de vous.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique.

Prendre contact